Kritische Infrastrukturen im Gesundheitswesen

Auswirkungen der zunehmenden Digitalisierung Prof. Dr. Rainer Bernnat

Kritische Infrastrukturen im Gesundheitswesen

25. April 2018

Strategy& ist die führende Beratung bei der Digitalisierung des deutschen Gesundheitswesens

Normativ

Strategisch

Operativ

Weiterentwicklung der eHealth- Strategie eine Studie im Auftrag BMG 1

KRITIS-Sektorstudie Gesundheit eine Studie im Auftrag BSI

2

Ökonomische Bestandsaufnahme und Potenzial- analyse der digitalen Gesundheitswirtschaft eine Studie im Auftrag BMWi

3

Effizienzpotentiale durch eHealtheine Studie im Auftrag bvitg und CGM

4

eCare-Anwendungen in der ambulanten Pflege eine Studie im Auftrag CGM

5

Pain DetectStudie im Auftrag von Pfizer 6

Konzeptionelle & strategische Beratung im Rahmen der Einführung eGKim Auftrag gematik

7 StudieGesundheitspolitische Herausford-

erungen von eHealthim Auftrag für die PKV 8

Diverse Digitalisierungs-Projekte bei führenden GKVen

9 Patientenfokus Organisationsfokus

AUSWAHL

Agenda

Kritische Infrastrukturen und deren Bedeutung für das Gesundheitswesen

1

Informationstechnologien im Gesundheitssektor und deren zunehmende Anwendung

2

Potentielle Zielkonflikte im Spannungsfeld von IT-Schutzmaßnahmen und ethischen Fragestellungen

3

Digitalisierung im Gesundheitswesen trägt zur Dämpfung des Kostenanstiegs bei

Potentiale von eHealth noch weitgehend

ungenutzt, wenn auch schon im Versorgungsalltag messbar

Gesamthaft umgesetzte eHealth-Lösungen führen zu signifikanten Verbesserung der medizinischen und operativen Exzellenz

Effizienzpotential durch eHealth in Deutschland beträgt ca. 39 Mrd. Euro, ca. 12,2 % der gesamten Krankheitskosten im Jahre 2014

I.

II.

III.

eHealth erleichtert sektorübergreifende &

multidisziplinäre Versor-gungsmodelle, ist jedoch kein Substitut zum Arzt-Patienten-Dialog

Zur Realisierung des Effizienzpotentials ist Telematik-Infrastruktur zu etablieren und die elektronische Patientenakte einzuführen IV.

V.

Zentrale Studienergebnisse:

Effizienzpotenziale eHealth, 2017

Das E-Health-Gesetz schafft Grundlagen – Konsequenz in der Umsetzung bislang noch nicht erzielt

• Modernes Stammdatenmanagement (bis Mitte 2018 flächendeckend eingeführt)

• Medizinische Notfalldaten ab 2018 auf eGK gespeichert (auf Wunsch des Versicherten)

• Elektronische Arztbriefe, bereits vor Einführung der Telematik-Infrastruktur gefördert

• Förderung des Einstiegs in die elektronische

Patientenakte – Schaffung der Voraussetzungen bis Ende 2018 durch die gematik

• Patientennutzen und Patientenselbstbestimmung – auch mittels Patientenfach (Schaffung der Voraussetzungen bis Ende 2018 durch die gematik)

• Förderung der Telemedizin durch telekonsiliarische Befundung von Röntgenaufnahmen (ab April 2017) und Online-Videosprechstunde (ab Juli 2017)

• Erstellung eines Interoperabilitätsverzeichnisses (bis Juni 2017)

• Weiterentwicklung Zugang über Smartphones / mobile

Endgeräte

„Mit dem E-Health-Gesetz treiben wir den Fortschritt im

Gesundheitswesen voran. Dabei stehen Patientennutzen und Datenschutz im Mittelpunkt. Eine sichere digitale Infrastruktur verbessert die

Gesundheitsversorgung und stärkt die Selbstbestimmung der

Patienten – das bring echten

Nutzen für die Versicherten. Ärzte, Kassen und Industrie stehen jetzt gleichermaßen in der Pflicht, die gesetzlichen Vorgaben im Sinne der Patienten zügig umzusetzen.“

Bundesminister Hermann Gröhe, Dezember 2015

?

( )

Kritische Infrastrukturen sind ein wesentlicher Bestandteil zur Aufrechterhaltung der öffentlichen Versorgung

Kritische Infrastrukturen (KRITIS) sind Organisationen oder Einrichtungen mit wesentlicher Bedeutung für das staatliche Gemeinwesen.

Knowledge Management

Proposal &

Presentation Design

KRITISCHE INFRASTRUK-

TUREN

GESUNDHEITSWESEN

ENERGIE- VERSORGUNG

INFORMATIONSTECHNIK &

TELEKOMMUNIKATION MEDIEN & KULTUR

ERNÄHRUNG

FINANZ- UND VERSICHERUNGSWESEN STAAT UND

VERWALTUNG

WASSER- VERSORGUNG

Definition von Kritischen Infrastrukturen auf Grundlage von EU-Richtlinie 2008/114/EG Gesetz zur Erhöhung der Sicherheit

informationstechnischer Systeme (IT-Sicherheitsgesetz) seit Juli 2015

G ESETZLICHE R RAHME N

• Digitale Anbindung und digitale

Vernetzungder Infrastrukturen steigt stetig

• Abhängigkeit von der Verfügbarkeit und Sicherheit der IT-Systeme nimmt kontinuierlich zu

• Cybersicherheitist einer der sehr gut verfügbaren und damit bedeutenden Angriffsvektoren

TRANSPORT

& VERKEHR

Erster Schritt: Identifikation kritischer Versorgungs- dienstleistungen entlang der med. Wertschöpfungskette

VOR- UND ZULIEFER-

LEISTUNGEN PRÄVENTION (AKUTE)

VERSORGUNG REHABILITATION PFLEGE

Ambulante Versorgung

Stationäre Versorgung

Präventive Maßnahmen ambulante med. Versorgung Versorgung mit Heilmitteln

Zahnärztliche Versorgung

ambulante Reha ambulante Pflege

stationäre Versorgung stationäre Reha stationäre Pflege

Arznei- und Impfstoffe

Versorgung verschreibungs.

Medikamente, OTC

Medizintechnik

Diagnose, Therapie, Operationstechnik, Hilfsmittel

Labore

Laboranalytik und Ergebnisübermittlung

Blut- und Plasmaderivaten

Sehr wenige Wenige

Mittel Viele Sehr viele

FALLZAHL

Zeitunkritisch Längerfristig Mittelfristig

Kurzfristig Sehr kurzfristig

DRINGLICHKEIT Bestimmung der Kritikalität

auf Grundlage der tangierten Fallzahl und der Dringlichkeit

für die Versorgung

Medizinische Bereiche mit hohen Fallzahlen und hoher

Dringlichkeit werden als besonders kritisch eingestuft

Kritische Infrastrukturen und deren Bedeutung für das Gesundheitswesen

1

Informationstechnologien im Gesundheitssektor und deren zunehmende Anwendung

2

Potentielle Zielkonflikte im Spannungsfeld von IT-Schutzmaßnahmen und ethischen Fragestellungen

3

Quelle: Monitoring Report Wirtschaft Digital – Zentrum für europäische Wirtschafsforschung

Der zunehmende Einsatz von Informationstechnologien ist ein wesentlicher kritische Faktor für das Gesundheitswesen

30%

40%

50%

60%

70%

80%

90%

100%

Gewerbliche Wirtschaft

(n=924)

Dienstleistungen (n=557)

Gesundheitswesen (n=84)

Nutzung digitaler Infrastrukturen durch festangestellte Mitarbeiter in

Unternehmen (2016)

Die Einrichtungen des Gesundheitswesens sind im ITK-Umfeld nur in begrenztem Maße auf Krisensituationen eingestellt, obwohl sie gerade in diesen Situationen gefordert sein könnten.

0 2 4 6 8 10 12

2008-09 2010-11 2012-13 2014-15

Anzahl

Jahre

Übersicht Anzahl kritischer ITK Vorfälle im Gesundheitswesen

Quelle: KRITIS-Sektorstudie Gesundheit 2016

Die zunehmende Nutzung von ITK Technologie erhöht auch das Risiko für Angriff aus diesem Bereich.

Fallbeispiel: Internet-Attacke gegen das elektronisches Gesundheitssystem in Lettland – Januar 2018

Die Webseite des elektronischen Gesundheitssystem in Lettland wurde durch eine DDoS-Attacke aus mehr als 20 Ländern lahmgelegt (Ausstellung elektronischer Rezepte). Nach Angaben des Ministerium gab es dabei keinen Zugriff auf Patientendaten.

Der Einsatz von IKT ist in den einzelnen Branchen des Gesundheitssektors sehr unterschiedlich ausgeprägt

D U R C H D R I N G U N G

• hohes Maß an ITK Abhängigkeit

• IT-Durchdringung in einzelnen Krankenhäusern sehr unterschiedlich

• Adaption digitaler Anwendungen wie der digitalen Patientenakte ist ausbaufähig

• geringer Grad der ITK Durchdringung

• Wesentliche digitale Einsatzbereiche beschränken sich häufig auf lokale Anwendungen

PR O Z ESSE

• Krankenhausinterne Prozesse(Diagnose- und Therapie) umfangreich digital abgebildet

• Adaption digitaler Anwendungen wie der

elektronischen Patientenakte oder Einführung eines Entlassmanagementist ausbaufähig

• Diagnose- und Therapieprozesse mit geringer digitaler Unterstützung

EN T W I C K L U N G

• Steigender Kostendruck und demographischer Wandel werden Einsatz digitaler Techniken weiter steigern

• Weiterentwicklung der Telematikinfrastruktur wird die ITK Abhängigkeit und deren Einsatz weiter steigern

R O B U ST H EI T

• flächendeckende Verteilung von Einrichtungen trägt zur Robustheit der Versorgung bei

• Für Spezialbereichewie Isolationsstationen kann eine erhöhte Kritikalität festgestellt werden

• Fragmentierte Versorgungsdienstleisterlandschaft erhöht die Robustheit des Systems

• Ausfall einzelner Praxen hat keinen Einfluss im Sinne einer kritischen Infrastruktur

S T AT ION Ä R E V E R S OR GU N G AM B U L AN T E V E R S OR GU N G Detaillierte Betrachtung

der Versorgungprozesse und der eingesetzten

ITK Anwendungen

Die Etablierung spezifischer IT-Sicherheitsmaßnahmen ist auch bei aktuell geringen Angriffszahlen notwendig

Schutzmaßnahmen können einer Vielzahl von Angriffsszenarien entgegenwirken oder das Ausmaß möglicher Schadenfälle reduzieren. Darüber hinaus kann sowohl die Regulierung als auch die Einführung eines Krisenmanagements die IT-Sicherheit unterstützen.

AN W EN D U N G S B E R EI C H E Medizintechnik

• Diagnostik (Bildgebung, Messsysteme, stoffliche Analysesysteme)

• Überwachung (stationäre Intensivmedizin, mobile ambulante IoT-Systeme)

• Robotik (Chirurgie)

• Implantate (Herzschrittmacher)

Software

• Krankenhausinformationssysteme

• Arztinformationssysteme

• Gesundheits-/Patientenakten

• Spezialanwendungen (PACS)

Infrastruktur

• Telematikinfrastruktur

• lokale Vernetzung (Krankenhaus und Arztpraxis)

MASSNAHMEN (KRITIS)

WEITERE MASSNAHMEN

IT-Sicherheit im Rahmen der Zulassung von Medizinprodukten (Erweiterung

Medizinproduktegesetz)

Einführung konkreter Verordnungen für den operativen Gesundheitssektor (auf Basis des IT- Sicherheitsgesetzes)

Einführung konkreter Verordnungen für den forschenden und entwickelnden

Gesundheitssektor (Arzneimittel und Impfstoffe, neue medizintechnische Technologien wie IoT) IT-Sicherheitsgesetz

Umgang mit und Maßnahmen für die Sicherheit kritischer Infrastrukturen

Etablierung eines IT-Sicherheitsmanagements z. B. auf Basis von ISO/IEC 27001:2013

Das IT-Sicherheitsgesetz regelt den Umgang mit und

Maßnahmen für die Sicherheit kritischer Infrastrukturen

BetreiberKritischer Infrastrukturen sind verpflichtet, …, angemesseneorganisatorische und technische Vorkehrungen zur Vermeidung von Störungen der Verfügbarkeit, Integrität,

Authentizität und Vertraulichkeit ihrer informationstechnischen Systeme, Komponenten oder Prozesse zu treffen, …

Wesentliche Verpflichtungen im IT-Sicherheitsgesetzes für Betreiber kritischer Infrastrukturen

BetreiberKritischer Infrastrukturen können branchenspezifische Sicherheitsstandards zur Gewährleistung der Anforderungen vorschlagen.

Die BetreiberKritischer Infrastrukturen haben mindestens alle zwei Jahre die Erfüllung der Anforderungen … auf geeignete Weise nachzuweisen.

Die BetreiberKritischer Infrastrukturen haben demBSI … eineKontaktstelle für Kommunikationsstrukturen …zu benennen.

Die BetreiberKritischer Infrastrukturen haben Störungen … unverzüglich an das Bundesamt zu melden.

Soweit im Rahmen dieser Vorschrift personenbezogene Daten erhoben, verarbeitet oder genutzt werden, ist eine über die vorstehenden Absätze hinausgehende Verarbeitung und Nutzung zu anderen Zwecken unzulässig.

Im Übrigen sind die Regelungen des Bundesdatenschutzgesetzes anzuwenden.

BSI-KritisV regelt, wer Betreiber von Kritischen Infrastruk- turen sind

Gesetzliche Verankerung zur Auswahl der kritischen Versorgungsdienstleister durch Erste

Verordnung zur Änderung der BSI-Kritis Verordnung

• Krankenhäuser mit jährlich mindestens 30.000 vollstationären Fällen(etwa 110 Kliniken bundesweit),

• Hersteller lebenswichtiger Medizinprodukte etwa zur Beatmung, für die parenterale Ernährung, enterale

Ernährung, ableitende Inkontinenz und Diabetes Typ 1 ab einem Jahresumsatz von 90,68 Millionen Euro,

• Arzneimittelhersteller ab einer Jahresproduktion von 4,65 Millionen Packungen,

• Apotheken ab einer Abgabe von 4,65 Millionen Packungen im Jahr

• und medizinische Laboratorienab 1,5 Millionen Aufträgen pro Jahr

Verantwortlich für Inhalte, Vorgaben und Regelungen

• Zentrale Meldestelle für Betreiber Kritischer Infrastrukturen

• Wesentliche Informationen zur Abwehr von Gefahren für die IT- Sicherheit zu sammeln und auszuwerten

• Auswirkungen auf Verfügbarkeit kritischer Infrastrukturen zu analysieren

• Lagebild kontinuierlich zu aktualisieren

• Unverzüglich mit aktuellen Information betroffene

Einrichtungen zu unterrichten

Kritische Infrastrukturen und deren Bedeutung für das Gesundheitswesen

1

Informationstechnologien im Gesundheitssektor und deren zunehmende Anwendung

2

Potentielle Zielkonflikte im Spannungsfeld von IT-Schutzmaßnahmen und ethischen Fragestellungen

3

Mit der steigenden Digitalisierung im Gesundheitswesen kommt der IT-Sicherheit eine zunehmend wichtige Rolle zu

Überwiegend papierorientierter Informationsaustausch, insbesondere bei einrichtungsübergreifendem

Austausch.

Digitaler Austausch von medizinischen Informationen, z. B. Telematik Infrastruktur

Die Verfügbarkeit von

patientenbezogenen medizinischen Informationen ist geringund meist auf eine Einrichtung begrenzt.

Zentrale Speicherung von medizinischen Informationen, z. B. elektronische Patientenakte

Erhöhung der Gefahr des unerlaubten Zugriffs und erweiterten Umfangs auf

Patientendaten

IST- SITUATION ZUKÜNF TIGE SITUATION G EFAHRE NPO TE NTI AL

Die Diagnose und Behandlung des Patienten erfolgt häufig analogund ausschließlich durch den Mensch.

Digitale Unterstützung der medizinische Prozesse, z. B. Expertensysteme, Robotik

Bei der medizinischen Behandlung und Therapie sind Patienten auf Ärzteund medizinisches Personal angewiesen.

Digitale Lösungen zur Steigerung der Eigenständigkeit des Patienten, z. B. medizinische IoT-Anwendungen

Erhöhung der Gefahr einer Manipulation des

Versorgung- und Behandlungsprozesses

POTENTIELLE DIGITALISIERUNGSBEREICHE

Angriffsvektoren zu erkennen und geeignete Präventionsmaßnahmen zu ergreifen, ist eine

wesentliche Aufgabe für medizinische Einrichtungen, die als kritische Infrastruktur eingestuft sind.

24/7

• Spear-Phishing betrügerische E-Mails

• Distributed Denial-of-Service (DDoS) Angriffe

verteilte Überlastangriffe

• Ausnutzen von

Softwareschwachstellen

• Schadsoftware/-programm

z.B. Viren, Trojaner etc., die Daten zerstören oder stehlen

• Ransomeware Erpressungssoftware

• Missbrauch von Vorrechten z.B. unrechtmäßiges Einholen von Admin-Rechten

• Datenmanipulierung Veränderung von Daten

Für potentielle Angriffsvektoren gilt es, geeignete präventive IT-Sicherheitsmaßnahmen zu bestimmen

IT-Sicherheitsmaßnahmen im Gesundheitswesen stehen im Konfliktfeld einerseits effektiv vor Angriffen zu schützen, anderseits gesetzliche und ethische Werte der Patienten zu gewährleisten.

Daten- und Informationssicherheit

• Datenverschlüsselung

• Dezentralisierte IT-Infrastruktur

• Backup

Netzwerksicherheit

• Firewall

• Deep Packet Insepection

• Physische/logische Entkopplung vom Internet

• Netzwerkszugangskontrolle

• Port-Management

• Verschlüsselte Übertragung Gerätesicherheit

• Mobile Device Management

• Personal Firewall

• Antivirus und Malware

Identitäts- und Zugriffverwaltung

• User-Identifizierung (z. B. 2-Faktor, Qualifizierte elektronische Signatur)

• Berechtigungskonzept

M Ö G L I C H E SC H U T Z M ASS N A H M EN PO T EN T I EL L E AN G R I F F SV EK T O R E N

ET H I SC H E W ER T E G ESET Z L I C H ER R AH M E N

1 Selbstbestimmung 2 Schadensvermeidung 3 Patientenwohl

4 Gerechtigkeit a Sozialgesetzbuch

b Bundesdatenschutzgesetz c EuDSGV

d Gesetz zur Verbesserung der Patientenrechte

Übergreifend betrachtet, unterstützen viele IT-Sicherheits- maßnahmen sowohl rechtliche als auch ethische Werte

Zielkonflikte ergeben sich insbesondere dann, wenn ethische Werte des Individuum dem Gemeinwohl und der gesellschaftlichen Entwicklung entgegen stehen.

Überwachung und Analyse des Netzwerk-

Datenverkehrs mit dem Ziel schädigende Aktivitäten und Daten frühzeitig zu erkennen und präventive

Maßnahmen einzuleiten.

Abwehr von Angriffen auf medizinischen IT- Systeme

Gerechtigkeit

Bundesdatenschutzgesetz EuDSGV

Deep Packet Insepection

Angewendete IT-Sicherheitsmaßnahme

PROBLEMZIELSETZUNG ZIELKONFLIKT

Insbesondere in Notfallsituationen ist die Verfügbarkeit von medizinischen Daten entscheidend. Begrenzende Zugriffsrechte verhindern aber einen uneingeschränkten Zugriff durch Ärzte.

Verfügbarkeit medizinischer Daten im Notfall

Selbstbestimmung

Gesetz zur Verbesserung der Patientenrechte

Identitäts- und Zugriffverwaltung Angewendete IT-Sicherheitsmaßnahme

Patientenwohl

MASSNAHME

Es ist zu erkennen, dass insbesondere der Datenschutz Zielkonflikte verursacht und damit die ethischen Werte Selbstbestimmung und Gerechtigkeit beeinflusst. Maßnahmen die dem

BEISPIELHAFT

Zur Lösung von Zielkonflikten werden neue Ansätze im Umgang mit medizinischen Daten benötigt

Die Herausforderung, zukünftig sowohl das Gemeinwohl als auch das individuelle Patientenwohl sicherzustellen, bedarf neuer technologischer Ansätze.

Umgang mit Patientendaten

Notwendigkeit zur Entwicklung neuer Technologien, die einerseits die Selbstbestimmung und die Anforderungen an den Datenschutz des Patienten gewährleisten, anderseits diese für die medizinische Forschung, Entwicklung und Validierung von Therapien zur Verfügung stellen. Gleichzeitig könnten diese Verfahren auch dem

Einschleusen von Schadcode vorbeugen und damit den sicheren Betrieb kritischer Infrastrukturen gewährleisten.

Technologische Ansätze Anonymisierung der Daten Konsolidieren von Daten Datenfreigabe durch Patienten Trennung medizinischer und persönlicher Daten

Umgang mit Zugriffsverfahren

Als elementarer Bestandteil zur Verhinderung eines unbefugten Zugriffes auf Patientendaten sind Zugriffs- verfahren zu entwickeln, die sowohl einfach als auch übergreifend und sicher sind. Im Zuge einer heterogenen Anbieterlandschaft für digitale Gesundheitsanwendungen ist ein einheitliches und verständliches

Zugriffsverfahren zu entwickeln. Darüber hinaus ist zu analysieren, welche Technologien den Zugriff auf wichtige medizinische Daten in Notfallsituationen im Sinne des Patientenwohls garantieren können.

Technologische Ansätze Neue Formen der Identitätsfeststellung Datenfreigabe im Falle einer Bewusstlosigkeit Einfache und verständliche Zugriffsverwaltung durch den Patienten

EXEMPLARISCHE THEMEN UND ANSÄTZE

Vielen Dank für Ihre Aufmerksamkeit.

Prof. Dr. Rainer Bernnat Partner PwC Strategy&

Frankfurt

Rainer.Bernnat@strategyand.de.pwc.com